群晖的群晖IPv6外网访问，其实没有想象中那么玄乎。外网访问我自己的群晖DS220+在去年搬家后，宽带换了公网IPv4彻底没戏的外网访问环境，被逼着折腾了一下午，群晖最后发现关键就三步：光猫改桥接、外网访问路由器开IPv6、群晖群晖防火墙放行端口。外网访问

先说说最坑的群晖地方。很多人卡在第一步——光猫。外网访问运营商默认光猫是群晖路由模式，虽然能拿到IPv6地址，外网访问但它的群晖防火墙把入站连接全掐了。你必须在超级管理员后台把它改成桥接，外网访问让路由器直接拨号。群晖具体账号密码各品牌不同，移动一般是CMCCAdmin，电信是telecomadmin，密码网上搜对应型号，或者直接打电话装维师傅要。别怕麻烦，这步不做，后面全白搭。

路由器设置里，别光看“IPv6开启”就打勾。要选Native或者DHCPv6-PD模式，具体名称看固件。我用的是华硕，选Native后WAN口能拿到/60前缀，LAN口设备自动分配公网IPv6地址。检查方法很简单——登录群晖，控制面板>网络>网络接口，看IPv6地址是不是240e或者2408开头。如果是fe80开头，那是链路本地地址，白搭。

端口转发这步跟IPv4完全不一样。IPv4是路由器上做映射，IPv6因为每个设备都有公网地址，理论上不需要转发，但群晖自带的防火墙默认拦着。你需要在控制面板>安全性>防火墙里，新建规则，允许特定端口从IPv6入站。我只开了5001（HTTPS）和22（SSH），其他全关。注意，DSM 7.x的防火墙规则是独立于路由器的，别在路由器上瞎折腾端口转发，没用。

测试的时候有个坑。你在局域网内用IPv6地址访问群晖，大概率失败。因为路由器默认禁止IPv6回环（NAT66 loopback），得用手机流量关WiFi测。我当时在屋里折腾了半小时，以为设置错了，后来跑到楼下用4G一开，秒进。这算是个经验，省得你走弯路。

动态DNS也得选对。群晖自带DDNS支持IPv6，但别用群晖的域名，解析A记录不认IPv6。我用的DuckDNS，免费，支持AAAA记录。或者用Cloudflare，把域名解析到IPv6地址，TTL设短点。脚本更新的话，群晖的DDNS服务商列表里有Cloudflare选项，填API Token就行。

最后说个安全细节。IPv6地址是公网暴露的，扫描器天天扫。我开了群晖的自动封锁功能，设置5分钟内失败登录3次就封IP。另外，关掉不必要的端口，尤其别开telnet和FTP。用SSH密钥登录代替密码，比改复杂密码管用得多。

整个过程下来，最耗时间的不是技术，是找光猫超级密码。其他只要按顺序来，基本半小时搞定。现在我在外面用手机流量，直接输群晖的IPv6地址加端口号，嗖一下就能打开DSM界面，下载速度能跑满家里的上行带宽。比之前用frp中转快多了，而且不依赖任何第三方服务器。